CVE-2026-110936：西门子软件中心漏洞在ClickFix攻击中被利用

西门子已确认在其用于下载、安装、激活和更新西门子软件的桌面应用程序 Siemens Software Center 中存在一个高严重性 DLL 侧加载漏洞的积极利用。该漏洞被跟踪为 CVE-2026-110936，并在 CVSS v4.0 中被评为 8.4分，缺陷源于不受控制的 DLL 搜索路径，可能导致以受影响应用程序权限执行任意代码。

该漏洞已在与西门子关联的 Romulus 发送平台的 ClickFix 活动中被武器化。在观察到的攻击中，威胁行为者使用一份合法的数字签名的西门子 Software Center 副本，并配以攻击者控制的 DLL 文件，而不是修改西门子可执行文件本身。西门子强调其系统、产品和官方更新渠道未被入侵。

寻找 CVE-2026-110936 检测内容的安全团队可以利用 SOC Prime 的 AI-Native Detection Intelligence Platform 增强对漏洞利用、DLL 侧加载、可疑进程执行和相关危害后行为的可见性。

点击 探索检测内容 以获取相关检测内容并捕捉新兴的恶意活动。为了检测 CVE-2026-110936 的利用及相关攻击模式，防御者应优先考虑基于行为的分析，而不是仅仅依赖受信的西门子可执行文件的哈希。

SOC Prime 检测可在多个 SIEM、EDR 和数据湖技术中应用，并与 MITRE ATT&CK® 框架对齐。安全团队还可以利用 Prime Architect 和 Uncoder AI 功能，将新鲜的威胁情报和指标转化为捕获查询，优化检测逻辑，加速检测工程工作流。

联系销售

CVE-2026-110936 分析

CVE-2026-110936 影响 Siemens Software Center 4.0.9.8 之前的版本。西门子将该漏洞分类为 CWE-427，不受控制的搜索路径元素。受影响的应用程序可能在一个限制不充分的位置搜索 DLL 文件，从而可能允许经过身份验证的本地攻击者在搜索目录中放置一个特制的库，并以 Siemens Software Center 的权限执行代码。

活跃的活动展示了如何将此弱点整合到一个以社会工程驱动的恶意软件链中。攻击者分发了一个带有有效数字签名的西门子软件中心可执行文件以及恶意的 DLL 文件。西门子表示，在观察到的攻击期间，版本 3.5.8.7 装载了可执行文件旁的辅助文件，而没有先验证。

因此，合法的西门子可执行文件本身没有被修改。相反，恶意功能嵌在攻击者提供的 DLL 文件中，当软件中心启动时会被加载。这种方法让攻击者滥用与合法签名应用程序相关的信任，同时执行攻击者控制的代码。

Hacker News 报道称，攻击链使用 msiexec.exe 启动 AllMyBasic.msi，随后执行 SiemensSoftwareCenter.exe。西门子识别 archive.dll 是与该活动相关的恶意组件之一。

西门子已将该活动归因于 Romulus，一个多平台的 ClickFix 传送操作。ClickFix 攻击通常向受害者显示欺骗性提示，例如假 CAPTCHA 或验证指令，劝说用户自行复制并执行恶意命令。相关的 Romulus 活动还被观察到传递 LegionLoader，并滥用其他供应商的合法签名应用程序进行 DLL 侧加载。

提供的报告未描述公共的 CVE-2026-110936 漏洞概念验证。然而，概念验证的可用性在这种情况下不太重要，因为西门子已经确认了现实世界攻击中漏洞的利用。

西门子发布的 CVE-2026-110936 IOC 包括 96.62.218[.]59，用于有效载荷托管和指挥控制；wizardexpensive[.]com，也与有效载荷托管和 C2 相关；以及 2.27.248[.]127，被用于分发恶意的 AllMyBasic.msi 包。

CVE-2026-110936 的已发布详情也强调了几个主机工件，可以帮助防御者识别被入侵的系统。这些包括从 AppDataLocalPrograms 执行的 SiemensSoftwareCenter.exe、一个 SM Software Provisioning Service 文件夹、可执行文件旁边的名称为 activate.bak 或 statinfosta.DB 的文件，以及包含 ftc.uml 的 FTSuite 目录位于 AppDataLocal。

因为攻击者使用的西门子二进制文件是合法的并且是数字签名的，仅仅依靠传统的文件声誉可能无法揭露攻击。安全团队应关联可执行文件的位置、父进程、相邻的DLL文件、持久性工件和出站网络连接。

CVE-2026-110936 缓解措施

西门子在 Software Center 版本 4.0.9.8 中解决了该漏洞。所有早期版本都被认为是受影响的，并且现有安装被设计为在应用程序启动时自动接收修补发布。组织应验证已部署的终端正在运行版本 4.0.9.8 或更高版本，而不是假设自动更新已经完成。

组织还应确保西门子软件仅通过西门子的官方来源获取。公司指出，活动中涉及的恶意软件包是在其官方基础设施之外分发的，并且没有任何西门子产品或更新渠道被破坏。

安全团队应在 DNS 解析器、代理和防火墙处阻止已知的恶意基础设施，并回顾性地搜索终端和网络遥测以查找先前的连接。防御者应特别寻找从 AppDataLocalPrograms 执行的 SiemensSoftwareCenter.exe，尤其是通过 msiexec.exe 启动时，并检查放置在西门子可执行文件旁的意外 DLL 文件，超出正常安装目录之外。

仅对 SiemensSoftwareCenter.exe 进行基于哈希的监控是不够的，因为攻击者使用的文件是合法的。检测逻辑应专注于异常执行路径、可疑的子进程或父进程、意外的相邻 DLL、持久性机制以及与已知恶意基础设施的通信。

如果确定了妥协指示，隔离受影响的终端，终止恶意进程，删除未授权的启动条目或计划任务，并重置可能暴露的密码。西门子还建议回顾历史日志以查找与活动和先前使用的活动基础设施的连接。